{"id":34141,"date":"2019-10-31T21:56:37","date_gmt":"2019-10-31T18:56:37","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root\/"},"modified":"2019-10-31T21:56:37","modified_gmt":"2019-10-31T18:56:37","slug":"v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/administrirovanie\/v-19-populyarnejshih-docker-obrazov-net-parolya-dlya-root","title":{"rendered":"I 19 % av de mest popul\u00e6re Docker-bildene er det ikke noe passord for root","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L\u00f8rdag, 18. mai, unders\u00f8kte Jerry Gamblin fra Kenna Security sjekket<\/a><\/noindex> 1000 av de mest popul\u00e6re bildene p\u00e5 Docker Hub for passordet som benyttes for brukeren root. I 19 % av tilfellene var det tomt.<\/p>\n

\"I<\/a><\/noindex><\/p>\n

Bakgrunnen med Alpine<\/h2>\n

\nAnledningen til den gjennomf\u00f8rte mini-forskningen var en tidligere rapport fra Talos Vulnerability Report (TALOS-2019-0782<\/a><\/noindex>), hvis forfattere \u2014 takket v\u00e6re oppdagelsen til Peter Adkins fra Cisco Umbrella \u2014 rapporterte at Docker-bilder med den popul\u00e6re distribusjonen for containere Alpine ikke har noe passord for root:<\/p>\n

\u00abOffisielle versjoner av Docker-bilder av Alpine Linux (fra og med v3.3) inneholder NULL-passord for brukeren root. Denne s\u00e5rbarheten oppsto som f\u00f8lge av en regresjon som ble introdusert i desember 2015. Kjernen i problemet er at systemer som er utplassert med ber\u00f8rte versjoner av Alpine Linux i et container og bruker Linux PAM eller en annen mekanisme som benytter systemfilen shadow som databasesystem for autentisering, kan akseptere null (NULL) passord for brukeren root\u00bb.<\/p><\/blockquote>\n

\nVersjoner av Docker-bilder med Alpine som var bekreftet \u00e5 ha problemet var 3.3\u20143.9 inkludert, samt den siste edge-utgivelsen.<\/p>\n

Forfatterne ga f\u00f8lgende anbefalinger til brukere som er p\u00e5virket av problemet:<\/p>\n

\u00abBrukerkontoen root b\u00f8r eksplisitt deaktiveres i Docker-bilder bygget p\u00e5 grunnlag av ber\u00f8rte versjoner av Alpine. Sannsynligheten for utnyttelse av s\u00e5rbarheten avhenger av milj\u00f8et, siden suksessen krever en eksponert tjeneste eller applikasjon som bruker Linux PAM eller en lignende mekanisme\u00bb.<\/p><\/blockquote>\n

\nProblemet var og l\u00f8st<\/a><\/noindex> i Alpine versjoner 3.6.5, 3.7.3, 3.8.4, 3.9.2 og edge (20190228 snapshot), og eiere av ber\u00f8rte bilder ble anbefalt \u00e5 kommentere ut linjen med root i \/etc\/shadow<\/code> eller forsikre seg om at pakken linux-pam<\/code>.<\/p>\n

Fortsettelse med Docker Hub<\/h2>\n

\nJerry Gamblin bestemte seg for \u00e5 unders\u00f8ke, \u00abhvor vanlig praksisen med \u00e5 bruke null-passord i containere kan v\u00e6re\u00bb. For dette skrev han et lite Bash-skript<\/a><\/noindex>, som er ganske enkelt:<\/p>\n